WPA2, WiFi et caméras piratées — chapitre complet

Trente minutes pour comprendre pourquoi la moitié des caméras vidéo domestiques peuvent tomber avec un ordinateur portable et une clé USB WiFi à trente euros. On part de la physique de la radio et on remonte jusqu'à la chaîne d'attaque complète, avec les commandes exactes, les défenses qui marchent et celles qui font croire qu'on est protégé.

Ce que vous saurez faire

• Expliquer, à un client qui panique après une fuite d'images, ce qu'un pirate a effectivement fait pour arriver là.
• Distinguer les techniques d'attaque WiFi qui marchent en 2026 de celles qu'on lit encore sur des articles de 2015.
• Recommander une défense qui tient à la fois pour un particulier et pour une entreprise, avec des exigences claires côté matériel, configuration et surveillance.

Pourquoi le WiFi et pourquoi les caméras

Aujourd'hui, en 2026, deux réalités simples rendent le sujet urgent.

D'abord, le WiFi est partout et rarement bien configuré. Chez le particulier, la box du fournisseur d'accès sort d'usine avec un mot de passe généré aléatoirement, mais souvent selon un algorithme qu'un attaquant peut inverser (l'affaire Livebox / Freebox / SFR box a occupé les CVE pendant des années). En entreprise, une PME sur deux utilise encore un WPA2-PSK partagé entre tous les employés et les imprimantes.

Ensuite, les caméras IP sont partout et rarement mises à jour. Le marché mondial dépasse 400 millions d'unités actives, dominé par des marques dont la sécurité fait figure d'accessoire commercial. Un attaquant qui rentre sur un réseau WiFi tombe presque toujours sur au moins une caméra qui peut être compromise avec :

• Le mot de passe par défaut du fabricant (admin:admin, admin:123456, root:vizxv).
• Une interface web en HTTP clair sans changement de mot de passe.
• Un flux vidéo RTSP ouvert sans authentification sur le port 554 ou 8554.
• Une API ONVIF mal filtrée sur le port 80 ou 8080.
• Un binding par défaut sur toutes les interfaces, y compris WAN si la box a été mal configurée en UPnP.

Le lien entre les deux est direct : si le WiFi tombe, la caméra suit dans les minutes qui suivent. C'est pour ça qu'on traite le WiFi d'abord et les caméras ensuite dans ce chapitre.

La radio en 5 minutes

Un signal WiFi, ce n'est pas de la magie, c'est une onde électromagnétique. Trois grandeurs suffisent pour tout comprendre.

Fréquence, longueur d'onde et portée

La fréquence est le nombre d'oscillations par seconde du signal, en hertz (Hz). Le WiFi utilise trois bandes :

Bande	Plage exacte	Longueur d'onde	Portée typique intérieur	Débit typique
2.4 GHz	2.400 – 2.4835 GHz	12.5 cm	45 m avec cloisons	100–400 Mb/s
5 GHz	5.150 – 5.850 GHz	6 cm	15 m avec cloisons	400–1 200 Mb/s
6 GHz (WiFi 6E)	5.925 – 7.125 GHz	5 cm	10 m avec cloisons	1–4 Gb/s

Retenez trois choses :

• La 2.4 GHz porte loin parce que l'onde est longue et diffracte bien autour des obstacles. C'est pourquoi c'est la bande privilégiée pour les caméras extérieures, les sonnettes connectées et les capteurs de garage.
• La 5 GHz porte moins loin mais offre plus de débit et de canaux — moins d'interférences aussi, parce que moins d'appareils legacy s'y trouvent.
• La 6 GHz est la nouvelle bande, réservée à WiFi 6E et WiFi 7, très peu encombrée mais peu déployée en 2026.

Pourquoi la 2.4 GHz est saturée

La bande 2.4 GHz est partagée avec les téléphones DECT, les micro-ondes (qui rayonnent autour de 2.45 GHz), les jouets télécommandés, le Bluetooth, ZigBee et les émetteurs vidéo bon marché. Quand on capture du trafic sur cette bande, on voit littéralement des dizaines d'émetteurs concurrents. C'est aussi pour ça que la portée effective est bien inférieure à la portée théorique : chaque transmission doit attendre un créneau libre.

Canaux et largeur

Chaque bande est découpée en canaux. En 2.4 GHz, il y a 13 canaux (14 au Japon) espacés de 5 MHz. Mais chaque canal WiFi occupe 20 MHz de large, ce qui veut dire que le canal 1 déborde jusqu'au 5, le 6 jusqu'au 10, etc.

Résultat pratique : sur la 2.4 GHz, seuls trois canaux non chevauchants existent — 1, 6 et 11. Un attaquant qui veut capturer du trafic WiFi commence toujours par écouter successivement ces trois canaux, en priorité, parce que 90 % des points d'accès s'y trouvent.

En 5 GHz on a plus de canaux (25 environ, selon le pays), avec des largeurs qui vont de 20 à 160 MHz. C'est confortable pour la data, c'est aussi pour ça que les attaques ciblées visent plus souvent la 2.4 GHz : la concentration des cibles y est plus forte.

Puissance et propagation

La puissance d'émission est mesurée en dBm (decibel milliwatt). Une box grand public émet à environ 20 dBm (100 mW), une carte USB WiFi entre 15 et 30 dBm (32 à 1000 mW). C'est la puissance à l'antenne : ce qui arrive au récepteur est bien plus faible parce que la puissance décroît avec le carré de la distance.

Pour un attaquant, la question pratique est simple : avec quelle carte WiFi et quelle antenne, à quelle distance je peux capturer un handshake ? La réponse dépend de la sensibilité du récepteur (une Alfa AWUS036ACHM annonce -95 dBm de sensibilité, une puce PC portable standard tourne à -80 dBm). Une antenne directionnelle gagne facilement 10 dB, ce qui double la distance efficace.

Retenez qu'avec un adaptateur USB dédié et une antenne omni +5 dBi, on capture un handshake à 30 mètres à travers un mur. Avec une antenne yagi +15 dBi orientée, on va à 200 mètres en visée directe.

Wi-Fi 802.11 en 30 secondes

Le WiFi vit sur la norme IEEE 802.11, publiée en 1997 et révisée régulièrement. Les révisions qui comptent pour ce chapitre :

Norme	Année	Ce qui change	Chiffrement supporté
802.11b/g	1999–2003	Base 2.4 GHz	WEP, puis WPA
802.11n	2009	MIMO, débits x5	WPA / WPA2
802.11ac	2013	5 GHz massif	WPA2 essentiellement
802.11ax (WiFi 6)	2019	OFDMA, plus dense	WPA2 ou WPA3
802.11be (WiFi 7)	2024	Multi-link	WPA3 obligatoire pour la certif

Pour un attaquant, la norme physique compte peu. Ce qui compte, c'est le protocole de sécurité : WEP, WPA, WPA2 ou WPA3.

Le protocole de sécurité — de WEP à WPA3

WEP (1999 – 2004)

Chiffrement RC4 avec clé partagée. Cassable en dix minutes depuis 2001, la démonstration académique définitive est de 2007 (Tews, Weinmann, Pyshkin). Toute installation WEP encore en 2026 est un défaut de configuration à corriger immédiatement, pas une attaque à tester.

WPA (2003)

Réponse en urgence de la WiFi Alliance, ajoute TKIP (chiffrement par paquet avec renouvellement de clé) mais garde RC4 en dessous. Attaques Beck-Tews et Ohigashi-Morii en 2008-2009. Obsolète.

WPA2 (2004 – aujourd'hui)

Passe à AES-CCMP comme chiffrement. Deux modes :

• WPA2-Personal ou WPA2-PSK — une seule passphrase partagée entre tous les clients du réseau. C'est le mode maison et petit bureau. C'est aussi celui de 90 % des caméras.
• WPA2-Enterprise — 802.1X, chaque client s'authentifie avec un compte propre et souvent un certificat, via un serveur RADIUS. C'est ce qu'on trouve en entreprise correctement configurée.

WPA2 n'est pas cassé dans son principe. Ce qui est cassé, c'est WPA2-PSK avec un mot de passe faible et quelques défauts d'implémentation (KRACK en 2017, PMKID en 2018).

WPA3 (2018)

Remplace le handshake initial par SAE (Simultaneous Authentication of Equals), aussi appelé Dragonfly. SAE fait de l'authentification par mot de passe résistante aux attaques offline en s'appuyant sur des courbes elliptiques. En pratique, capturer un handshake WPA3 ne vous donne pas de matière à cracker offline — il faut interagir avec le point d'accès pour tester chaque candidat, ce qui rend le brute force impossible.

En 2026, WPA3 est obligatoire pour la certification WiFi 6E et WiFi 7. Mais les routeurs grand public sont livrés en mode « WPA2/WPA3 mixte » pour compatibilité, ce qui rouvre la porte via attaque de downgrade (voir plus bas).

WPA2-PSK, comment ça marche vraiment

Le mode PSK (Pre-Shared Key) est celui qui nous intéresse. Comprendre son fonctionnement en détail est la moitié du travail d'un pentester WiFi.

De la passphrase à la clé maîtresse (PMK)

Quand vous tapez MonMotDePasse2026! dans votre box, il ne sert pas tel quel. Il est dérivé via PBKDF2-HMAC-SHA1, avec :

• La passphrase comme secret.
• Le SSID (le nom du réseau) comme sel.
• 4096 itérations.
• Une sortie de 256 bits.

Le résultat s'appelle la PMK (Pairwise Master Key). Formulée :

PMK = PBKDF2-HMAC-SHA1(passphrase, SSID, 4096, 256)

Deux conséquences directes :

• Deux réseaux qui ont le même nom et le même mot de passe ont la même PMK. C'est pour ça que les tables rainbow WPA existent : on précalcule la PMK pour un SSID populaire (FreeWiFi, linksys, Livebox-XXXX) avec des millions de passphrases, et on gagne des heures au moment de l'attaque.
• PBKDF2 avec 4096 itérations, c'est faible en 2026. Un GPU moderne teste des dizaines de milliers de PMK par seconde. Ce qui protège vraiment, c'est la longueur et l'aléa du mot de passe, pas la fonction de dérivation.

Le 4-way handshake

Chaque fois qu'un client s'associe au réseau (téléphone, caméra, laptop), les deux extrémités exécutent le 4-way handshake. C'est le cœur du protocole WPA2-PSK. Il produit une PTK (Pairwise Transient Key) unique pour la session, dérivée à partir de :

• La PMK (que les deux parties possèdent déjà).
• Un aléa côté point d'accès (ANonce).
• Un aléa côté client (SNonce).
• Les adresses MAC du client et du point d'accès.

Les quatre messages :

1. AP → client : envoie ANonce.
2. Client → AP : envoie SNonce et un MIC (Message Integrity Code) calculé avec la PTK dérivée localement. Le MIC prouve que le client connaît la PMK.
3. AP → client : envoie le GTK (clé de groupe, pour le broadcast) chiffré avec la PTK, plus son propre MIC.
4. Client → AP : acquittement.

Ce que capture un attaquant qui écoute passivement : les quatre paquets. Il ne connaît pas la PMK, mais il connaît ANonce, SNonce, les MAC, et le MIC du message 2.

Il tient donc une équation dont la seule inconnue est la passphrase :

MIC = HMAC-SHA1(PTK, message2) PTK = PRF(PMK, ANonce, SNonce, MAC_AP, MAC_client) PMK = PBKDF2(passphrase, SSID, 4096, 256)

Il peut essayer des passphrases en boucle jusqu'à ce que le MIC recalculé corresponde au MIC capturé. C'est du brute force offline classique.

Ce qui rend le brute force réaliste

Deux mesures concrètes de 2026, sur un rig commodity :

• Une RTX 4090 fait environ 2 100 000 essais WPA2 par seconde avec hashcat mode 2500.
• Une location cloud avec 8× A100 fait 3 fois plus.

À ces vitesses :

• Un mot de passe 8 caractères alphanumériques minuscules (26⁸ ≈ 208 milliards de possibilités) tombe en 27 heures sur une seule 4090.
• Un mot de passe 10 caractères mixtes majuscules/minuscules/ chiffres (62¹⁰ ≈ 8·10¹⁷) devient hors de portée en brute pur, mais la plupart des humains piochent dans le top 100 des schémas courants (mot commun + année + !), ce qui divise l'espace effectif par des ordres de grandeur.
• Un mot de passe 20 caractères aléatoires tient largement au-delà de la durée de vie utile de l'installation.

C'est cette asymétrie qui rend le WPA2-PSK vulnérable par défaut de choix de mot de passe, pas par défaut de protocole.

Techniques d'attaque WPA2-PSK

Cinq techniques principales, plus une sixième pour WPA3. Toutes exigent une carte WiFi qui supporte le monitor mode et l'injection de paquets. En pratique, en 2026 :

• Recommandé : Alfa AWUS036ACHM (chipset MediaTek MT7612U), 30 €, compatible Kali natif.
• Bien aussi : Alfa AWUS036ACS (Realtek RTL8811AU), 25 €.
• À éviter : les cartes internes de laptop, qui refusent souvent l'injection.

Setup — monitor mode

# Voir les interfaces WiFi disponibles
airmon-ng

# Passer wlan0 en monitor mode (l'interface s'appelle alors wlan0mon)
airmon-ng start wlan0

# Confirmer que le monitor mode est actif
iwconfig
# → wlan0mon : mode monitor

À partir de là, tous les outils Aircrack-ng, Kismet, hcxdumptool peuvent capturer du trafic radio brut.

Technique 1 — Capture du 4-way handshake

C'est la méthode classique, publiée dès 2003, encore la plus utilisée en pentest WiFi.

Étape 1 — repérer les cibles.

airodump-ng wlan0mon

La sortie liste tous les points d'accès à portée avec leur BSSID (adresse MAC de l'AP), leur canal (CH), leur chiffrement (ENC / CIPHER / AUTH), et leur nom (ESSID). Repérez la cible et notez son BSSID et son canal.

Étape 2 — écouter uniquement la cible.

airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w capture wlan0mon

Vous produisez capture-01.cap en direct. Vous devez attendre qu'un client s'associe (ou se réassocie) — le handshake ne se produit qu'à ce moment-là.

Étape 3 — accélérer avec un deauth (optionnel, voir Technique 3).

Étape 4 — quand airodump affiche WPA handshake: AA:BB:CC:DD:EE:FF en haut à droite, vous avez la capture.

Étape 5 — cracker offline.

# Format hashcat mode 2500 (WPA-EAPOL-PBKDF2)
hcxpcapngtool -o hash.22000 capture-01.cap
hashcat -m 22000 hash.22000 /usr/share/wordlists/rockyou.txt \
        --optimized-kernel-enable \
        -r /usr/share/hashcat/rules/best64.rule

Sur une carte moderne, rockyou.txt (14 millions de mots courants) avec best64.rule (variantes classiques : ajout d'année, !, majuscule initiale, etc.) prend 2 à 5 minutes.

Technique 2 — PMKID (Steube, août 2018)

Le raccourci qui change tout. Découvert par Jens Steube (auteur de hashcat), il exploite un défaut d'implémentation dans certains firmwares de points d'accès qui divulguent la PMKID (le hash de la PMK) dans le premier paquet d'association, sans attendre le 4-way handshake complet.

Résultat : on n'a même plus besoin qu'un client s'associe. On envoie une requête d'association bidon et le point d'accès répond avec la PMKID.

# Capture PMKID
hcxdumptool -i wlan0mon -o pmkid.pcapng --enable_status=1

# Convertir en format hashcat
hcxpcapngtool -o pmkid.22000 pmkid.pcapng

# Cracker
hashcat -m 22000 pmkid.22000 rockyou.txt

Toutes les AP ne divulguent pas la PMKID. Mais en pratique, entre 30 et 50 % des routeurs grand public de 2015 à 2020 le font. Une nouvelle box vérifie ces cas ; les vieilles restent vulnérables et sont partout.

Technique 3 — Deauth pour forcer la capture

Le WiFi n'a pas d'authentification sur ses trames de gestion en WPA2 standard (elle est optionnelle depuis 802.11w, rarement activée côté grand public). Un attaquant peut donc envoyer une trame de déauthentification en usurpant le BSSID du point d'accès, ce qui force les clients à se déconnecter puis se reconnecter — et donc à rejouer un 4-way handshake.

# Deauthentifier tous les clients d'un AP
aireplay-ng -0 5 -a AA:BB:CC:DD:EE:FF wlan0mon

# Deauthentifier un client spécifique
aireplay-ng -0 5 -a AA:BB:CC:DD:EE:FF -c 11:22:33:44:55:66 wlan0mon

Combiné avec airodump-ng qui écoute en parallèle, vous obtenez le handshake en quelques secondes au lieu d'attendre qu'un client se reconnecte spontanément.

Pourquoi les trames de gestion ne sont pas signées par défaut

La norme 802.11 originale (1997) n'a pas prévu de signer les trames de gestion. La révision 802.11w (2009) a ajouté PMF (Protected Management Frames), qui rend la deauth impossible à falsifier. Le souci : PMF est facultatif dans WPA2 et obligatoire dans WPA3 uniquement. Les box grand public en 2026 arrivent avec PMF désactivé par défaut, pour compatibilité avec les vieux clients. C'est le compromis qui rend l'attaque deauth quasi universelle.

Technique 4 — Evil twin (jumeau maléfique)

Vous ne pouvez pas cracker un mot de passe fort en offline ? Vous faites croire à un client qu'il se connecte au vrai réseau, mais il se connecte à vous.

Recette classique :

1. Repérer le SSID cible avec airodump-ng.
2. Créer un point d'accès local avec le même SSID, plus fort en puissance (hostapd + dnsmasq), sur un autre canal.
3. Deauthentifier les clients du vrai AP pour qu'ils cherchent une alternative.
4. Servir une page de captive portal qui demande la passphrase sous prétexte de « mise à jour du firmware » ou de « re-connexion ».
5. Recevoir la passphrase en clair.

L'outil qui automatise tout ça s'appelle wifiphisher ou son successeur hostapd-mana. C'est social engineering + technique, donc plus efficace en environnement grand public qu'en entreprise.

Technique 5 — WPS PIN brute-force (Reaver / Bully)

WPS (WiFi Protected Setup) est un mode « pratique » où on tape un PIN à 8 chiffres pour associer un client. Défaut de conception (2011, Viehböck) : le PIN est validé en deux moitiés de 4 chiffres, ce qui divise l'espace de recherche de 10⁸ à 2·10⁴. Un brute force en ligne prend 4 à 10 heures.

# Reaver contre un AP avec WPS actif
reaver -i wlan0mon -b AA:BB:CC:DD:EE:FF -vv

Certains AP ont ajouté un rate limit ou un lockout WPS pour contrer l'attaque. bully gère mieux ces cas modernes.

En pratique 2026 : le WPS est désactivé par défaut sur les box récentes mais reste souvent activé sur les caméras et sur du matériel légacy. C'est la voie royale sur un thermostat connecté ou un bébéphone WiFi.

Technique 6 — Downgrade WPA3 vers WPA2

WPA3 est résistant au brute force offline. Mais si votre routeur est en mode mixte WPA2/WPA3, un attaquant peut forcer le client à utiliser WPA2, capturer le handshake et cracker offline. C'est l'attaque Dragonblood (Vanhoef et Ronen, 2019).

Défense : passer en mode WPA3 pur dans la configuration du routeur. Tout client compatible WPA3 négociera SAE, aucun downgrade possible.

Pourquoi les caméras IoT sont un jackpot

Une fois sur le réseau, une caméra WiFi est presque toujours plus faible que la box qui protège le réseau. Six raisons se cumulent :

1. Mot de passe par défaut identique par modèle

Les fabricants économisent quelques minutes en industrialisant un mot de passe par lot, voire par modèle entier. Les collections publiques regroupent des milliers de couples marque:modèle → login: password — le projet routersploit en embarque une bonne partie directement.

Exemples célèbres :

Fabricant / modèle	Login / mot de passe par défaut
Hikvision (avant 2018)	admin / 12345
Dahua (avant 2019)	admin / admin
Xiongmai (2015-2020)	root / vizxv
Foscam (avant 2019)	admin / (vide)
Générique OEM Amazon	admin / admin

2. Firmware jamais mis à jour

Une caméra Amazon à 30 € en 2026 tourne souvent avec un firmware compilé en 2019, avec un noyau Linux 3.10 et une bibliothèque openssl de 2016. Les CVE connues (Heartbleed, Dirty Cow) sont directement exploitables.

L'utilisateur final n'a aucun mécanisme d'alerte ni de mise à jour automatique. La caméra tourne comme elle a été livrée jusqu'à ce qu'elle casse physiquement.

3. Interface web en HTTP clair

Beaucoup d'interfaces admin de caméra écoutent en HTTP (port 80) sans redirection HTTPS. Un attaquant sur le même réseau WiFi voit passer la session d'admin en clair via un ARP spoof simple avec bettercap.

4. RTSP sans authentification

Le protocole RTSP (Real-Time Streaming Protocol) sert à transporter le flux vidéo. Sur beaucoup de caméras, le flux est diffusé sur rtsp://<ip>:554/live sans mot de passe, en pariant que « personne ne saura l'URL ». En pratique, il suffit de :

nmap -p 554,8554 --script rtsp-url-brute <ip-camera>

pour se voir renvoyer la vidéo en direct via VLC.

5. ONVIF mal filtré

ONVIF est le protocole standard pour piloter les caméras IP : zoom, orientation, préréglages, snapshot. Il s'appuie sur SOAP sur HTTP. Beaucoup de caméras exposent ONVIF sur un port secondaire (8080, 8899) sans WS-Security, ce qui permet à un attaquant authentifié en HTTP simple de piloter la caméra.

6. Bind sur toutes les interfaces + UPnP

Certaines caméras s'annoncent via UPnP à la box, qui ouvre gentiment un port dans le NAT et publie la caméra sur internet. Le propriétaire n'a rien demandé, mais sa caméra est maintenant listée sur Shodan dans les 24 heures.

Le cas Mirai (2016) et ses variants 2020+

En octobre 2016, le botnet Mirai a compromis plus de 600 000 caméras et routeurs IoT en scannant Internet à la recherche de services Telnet ouverts avec un mot de passe par défaut. Il a ensuite été utilisé pour saturer Dyn (fournisseur DNS de Twitter, Netflix, Github) pendant six heures.

Les variants modernes (Mozi, Meris, Fodcha) utilisent la même recette. En 2026, entre 15 et 20 % des caméras IP mondiales appartiennent à un botnet actif, la plupart sans que leur propriétaire s'en aperçoive.

Chaîne d'attaque type sur une caméra WiFi

Vous êtes pentester engagé pour évaluer la sécurité du réseau familial d'un dirigeant. Voici la séquence typique.

1. Reconnaissance RF

airmon-ng start wlan0
airodump-ng -w recon --output-format csv wlan0mon

Vous laissez tourner 15 minutes. Vous récupérez la liste de tous les SSID actifs autour de la maison, avec le nombre de clients, le chiffrement et le canal.

Vous repérez MaisonJean en WPA2-PSK avec 6 clients (dont trois qui semblent être des caméras vu leur préfixe MAC — les OUI de Dahua/Hikvision/Reolink sont publics).

2. Capture handshake + crackage

airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w handshake wlan0mon &
aireplay-ng -0 3 -a AA:BB:CC:DD:EE:FF wlan0mon

Handshake capturé. Vous crackez avec une wordlist personnalisée : nom du propriétaire, prénoms des enfants, année de naissance, avec les mutations classiques. C'est ce que fait la fonction -r best64.rule dans hashcat.

Passphrase trouvée : Bernadette1978!.

3. Association et scan du LAN

# Repasse wlan0 en mode client
airmon-ng stop wlan0mon
nmcli device wifi connect MaisonJean password 'Bernadette1978!'

# Scanne le LAN
nmap -sn 192.168.1.0/24

Vous découvrez : la box, un smartphone, un laptop, une TV, trois caméras (192.168.1.20, .21, .22). Deux répondent à nmap avec un bandeau HTTP mentionnant Dahua ou Hikvision.

4. Post-connexion sur la caméra

# Interface admin
curl -s http://192.168.1.20/ | grep -i title
# → <title>Web Client v1.0</title>  (Dahua)

# Tentative login default
curl -su admin:admin http://192.168.1.20/cgi-bin/magicBox.cgi?action=getSystemInfo

# Flux RTSP direct
vlc rtsp://192.168.1.20:554/cam/realmonitor?channel=1&subtype=0

# Snapshot ONVIF
curl -X POST -H "Content-Type: text/xml" \
     --data @get-snapshot.xml \
     http://192.168.1.20:8080/onvif/Media

Trois sur cinq caméras que je pentest annuellement tombent avec admin:admin ou admin:12345. Une sur cinq tombe avec le PIN WPS si l'admin web est protégé. Une sur cinq résiste — mais le firmware a une CVE connue.

Le rapport client mentionne la chaîne complète : passphrase WiFi faible → association → login par défaut → vidéo captée. Une seule faiblesse coupée n'aurait pas suffi : c'est la conjonction qui compte.

Défenses concrètes

Pour un particulier

1. Passphrase WiFi de 20 caractères ou plus, aléatoires. Générée avec un gestionnaire de mots de passe (Bitwarden, 1Password). Rythme de rotation : jamais, sauf compromission connue.
2. WPA3 pur si tous les appareils le supportent. WPA2/WPA3 mixte sinon, en désactivant WPS.
3. Réseau invité activé sur la box, pour tous les visiteurs.
4. Réseau IoT séparé : la plupart des box récentes offrent un SSID « SmartHome » dédié, isolé du réseau principal.
5. Changer immédiatement les credentials par défaut de chaque appareil connecté, y compris caméras, thermostats, ampoules, assistants vocaux.
6. Désactiver UPnP sur la box. Un port doit être ouvert manuellement, jamais automatiquement.
7. Firmware à jour de la box et des caméras. Si le fabricant n'offre plus de mise à jour, jeter l'appareil.

Pour une entreprise

1. WPA2-Enterprise / WPA3-Enterprise (802.1X), un compte par utilisateur, un certificat par appareil. Fin des mots de passe partagés.
2. VLAN séparés pour caméras, imprimantes, IoT, invités, employés.
3. WIDS/WIPS (Wireless Intrusion Detection / Prevention) qui détecte les rogue APs, les deauth massifs, les evil twins. Solutions : Aruba ClearPass, Cisco Meraki, Fortinet WiFi.
4. PMF obligatoire partout où c'est possible. Rejeter les clients qui ne le supportent pas ou les cantonner sur un SSID invité limité.
5. Renouvellement matériel tous les 5 à 7 ans : les vieux AP n'ont pas les correctifs KRACK ni le support WPA3.

Pour un fabricant de caméras

1. Rotation des credentials par device unique dès la sortie d'usine, pas un mot de passe par lot.
2. Mise à jour automatique signée activée par défaut, non désactivable.
3. HTTPS obligatoire sur l'interface admin, redirection depuis HTTP.
4. Authentification obligatoire sur RTSP et ONVIF, sans option pour la désactiver.
5. Refus explicite d'UPnP — jamais s'annoncer sur WAN sans configuration manuelle explicite du propriétaire.

Limites du lab Docker et fallbacks physiques

Ce chapitre ne s'accompagne pas d'un lab Docker exécutable, pour une raison simple : la radio réelle n'est pas virtualisable. Docker donne accès à un système Linux, pas à une pile 802.11 physique. Les techniques ici demandent :

• Une carte WiFi USB compatible monitor mode et injection.
• Deux appareils physiques à proximité (l'attaquant et une victime).
• Un environnement RF où vous êtes autorisé à émettre — c'est-à-dire votre propre réseau ou celui d'un client sous contrat de pentest signé.

Pour vous entraîner sans laboratoire physique complet :

• Wifi CTF Academy propose des CTF WiFi avec captures pré-enregistrées à cracker offline (idéal pour hashcat, .pcapng fourni).
• VulnHub / OffSec Proving Grounds offrent des VM avec captures intégrées à analyser.
• Ludus ou GOAD (Game of Active Directory) proposent des labs plus larges où le WiFi est simulé.

Pour un pentest client réel, l'équipement minimum en 2026 :

• Une carte Alfa AWUS036ACHM (30 €).
• Une antenne omni +9 dBi + une yagi +15 dBi.
• Une clé WiFi Pineapple (option, 200 €, pour l'evil twin automatisé).
• Un GPS USB (option, pour cartographier les APs pendant une visite physique du site).

Coût matériel total : entre 30 et 500 € selon l'ambition. C'est l'investissement le plus rentable pour un pentester en 2026.